Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand und Status dieses Dokuments

Hinweis: Dieses Dokument ist ein Entwurf und steht noch unter dem Vorbehalt der anwaltlichen Prüfung und Freigabe. Es begründet in dieser Fassung noch keine rechtsverbindliche Vereinbarung.

Fassung vom 2026-07-27. Wir aktualisieren dieses Dokument, sobald sich die zugrunde liegenden Verarbeitungen, Systeme oder Unterauftragsverarbeiter ändern.

Für eine unterzeichnete Fassung, für Rückfragen zum Inhalt oder für den Abschluss eines individuellen Auftragsverarbeitungsvertrages wenden Sie sich bitte an hello@erseni.com.

Parteien und Gegenstand der Verarbeitung

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung des Dienstes ergeben. Er gilt für alle Verarbeitungen personenbezogener Daten, die wir im Auftrag und nach Weisung des Verantwortlichen durchführen.

Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist die natürliche oder juristische Person, die den Dienst nutzt, um Inhalte zu übermitteln oder anzufordern, und die über Zwecke und Mittel dieser Verarbeitung entscheidet. Bei geschäftlicher Nutzung ist dies das nutzende Unternehmen beziehungsweise die nutzende Organisation.

Auftragsverarbeiter

Erseni Ltd, Private Company Limited by Shares
Archiepiskopou Makariou III, 59
MOUYIAS TOWER, 3rd floor, Flat/Office 301
6017 Larnaca, Cyprus
Registernummer: HE 487031
E-Mail: hello@erseni.com

Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist der Betrieb eines Dienstes zur Ende-zu-Ende-verschlüsselten Übermittlung von Inhalten (Zero-Knowledge-Verfahren). Wir stellen die technische Infrastruktur bereit, über die verschlüsselte Inhalte gespeichert, abgerufen und nach Abruf oder Ablauf gelöscht werden. Eine inhaltliche Auswertung findet nicht statt und ist uns technisch nicht möglich.

Ergänzend gelten unsere Allgemeinen Geschäftsbedingungen sowie unsere Datenschutzerklärung. Im Falle von Widersprüchen zu datenschutzrechtlichen Regelungen gehen die Bestimmungen dieses AVV vor.

Art, Umfang und Zweck der Verarbeitung

Art der Verarbeitung

Erheben, Speichern, Übermitteln, Bereitstellen und Löschen von verschlüsselten Inhalten und den zugehörigen technischen Metadaten. Die Verarbeitung erfolgt automatisiert. Ein Zugriff auf Klartextinhalte durch uns oder durch Dritte findet nicht statt.

Zweck der Verarbeitung

Zweck ist ausschließlich die vertragsgemäße Bereitstellung des Dienstes: die sichere einmalige Übermittlung von Inhalten zwischen einem Absender und einem Empfänger, die Verwaltung von Gültigkeitsdauern sowie der Schutz des Dienstes vor Missbrauch und Überlastung.

Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Nutzungsverhältnisses. Verschlüsselte Inhalte werden darüber hinaus nur bis zum ersten Abruf beziehungsweise bis zum Ablauf der gewählten Gültigkeitsdauer verarbeitet. Einzelheiten regelt der Abschnitt zum Löschkonzept.

Kategorien personenbezogener Daten

Verarbeitet werden ausschließlich die folgenden Datenkategorien:

Verschlüsselte Inhalte (Ciphertext) einschließlich optionaler verschlüsselter Dateianhänge. Diese können personenbezogene Daten beliebiger Art enthalten; deren Auswahl obliegt allein dem Verantwortlichen. Für uns sind sie ohne den clientseitigen Schlüssel nicht lesbar.
Technische Metadaten zum Vorgang: ein zufällig erzeugtes Zugriffstoken, der Zeitpunkt der Erstellung, der Ablaufzeitpunkt, gegebenenfalls der Zeitpunkt des Abrufs sowie die Anzahl verbleibender Abrufe.
Bei Nutzung mit Benutzerkonto: die E-Mail-Adresse und der Kontostatus, die Zuordnung eines Vorgangs zum Konto sowie Ereignisse des Aktivitätsprotokolls (Ereignisart und Zeitpunkt, ohne Inhalte und ohne Zugriffstoken).
Technische Verbindungsdaten zur Abwehr von Missbrauch. Für die Zugriffsbegrenzung wird die IP-Adresse nicht im Klartext gespeichert, sondern ausschließlich zu einem mit einem geheimen Schlüssel abgeleiteten Hashwert (HMAC-SHA-256) verarbeitet, der nur für die Dauer des jeweiligen Zeitfensters im Cache gehalten wird. Unabhängig davon werden Server-Zugriffsprotokolle geführt, die die IP-Adresse im Klartext enthalten, daneben Zeitpunkt, aufgerufenen Pfad, Statuscode, übertragene Datenmenge, Referrer und User-Agent. Sie dienen dem technischen Betrieb, der Fehlerdiagnose und der Erkennung von Angriffen.

Der Verantwortliche entscheidet eigenverantwortlich, welche Inhalte er über den Dienst übermittelt. Da die Inhalte für uns ausschließlich als Chiffrat vorliegen, können wir weder deren Kategorie noch deren Personenbezug feststellen.

Kategorien betroffener Personen

Nutzerinnen und Nutzer des Verantwortlichen, die Inhalte über den Dienst erstellen oder anfordern (zum Beispiel Beschäftigte, Administratorinnen und Administratoren).
Empfängerinnen und Empfänger, an die ein Zugriffslink übermittelt wird, sowie alle Personen, deren Daten der Verantwortliche in einen verschlüsselten Inhalt aufnimmt.

Besondere Kategorien personenbezogener Daten

Der Dienst ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ausgerichtet. Da die Inhalte clientseitig verschlüsselt werden, können solche Daten technisch dennoch übermittelt werden. Die Zulässigkeit einer solchen Verarbeitung und die Erfüllung der zusätzlichen Anforderungen des Art. 9 DSGVO liegen allein in der Verantwortung des Verantwortlichen.

Weisungsgebundenheit

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, wir sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilen wir dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Nutzung des Dienstes im vertraglich vorgesehenen Umfang gilt als Weisung. Ergänzende oder abweichende Einzelweisungen sind in Textform an die im Abschnitt „Stand und Status dieses Dokuments" genannte Kontaktadresse zu richten.

Wir informieren den Verantwortlichen unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Wir sind berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

Aufgrund der Zero-Knowledge-Architektur können wir Weisungen, die einen Zugriff auf Klartextinhalte voraussetzen, technisch nicht ausführen. Dies gilt insbesondere für Weisungen zur Herausgabe, Berichtigung oder inhaltlichen Prüfung verschlüsselter Inhalte.

Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch eine internationale Organisation erfolgt nur, soweit sie im Abschnitt zu den Unterauftragsverarbeitern ausgewiesen ist und die Voraussetzungen des Kapitels V der DSGVO erfüllt sind. Die Verarbeitung der verschlüsselten Inhalte selbst findet ausschließlich in der Europäischen Union statt.

Vertraulichkeit der Beschäftigten

Wir stellen sicher, dass sich alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Kreis der Personen mit administrativem Zugang zu den Produktivsystemen ist auf das für den Betrieb zwingend erforderliche Minimum beschränkt.

Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der jeweiligen Tätigkeit sowie nach Beendigung dieses Vertrages fort.

Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zentrale Schutzmaßnahme ist dabei die Architektur selbst: Inhalte verlassen das Endgerät nur verschlüsselt.

Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO)

Inhalte werden ausschließlich im Browser des Nutzers mit AES-GCM und einer Schlüssellänge von 256 Bit verschlüsselt, bevor sie an den Server übertragen werden. Für jeden Vorgang wird eine eigene, zufällig erzeugte 12-Byte-Nonce verwendet. Es kommt ausschließlich die native Web-Crypto-Schnittstelle des Browsers zum Einsatz.
Der Schlüssel wird clientseitig erzeugt und im Fragment-Teil der URL hinter dem Rautezeichen übertragen. Dieser Teil einer URL wird von Browsern grundsätzlich nicht an den Server gesendet und ist uns daher nicht bekannt. Wird zusätzlich ein Passwort gesetzt, wird aus diesem mittels PBKDF2-SHA256 mit 1.200.000 Iterationen ein Schlüsselmaterial abgeleitet und über HKDF-SHA256 mit dem Fragment-Schlüssel zu einem AES-GCM-256-Schlüssel verknüpft.
Beim Anfordern von Inhalten wird ein X25519-Schlüsselpaar auf dem Endgerät der anfordernden Person erzeugt. Der Antwortende verschlüsselt mit einem für jede Antwort neu erzeugten, ephemeren X25519-Schlüsselpaar und einem über HKDF-SHA256 abgeleiteten AES-GCM-256-Schlüssel. Der private Schlüssel verlässt das Endgerät der anfordernden Person nicht.
In unserer Datenbank liegen Inhalte ausschließlich als Chiffrat vor. Ein Klartext existiert serverseitig zu keinem Zeitpunkt, auch nicht temporär im Rahmen der Auslieferung.

Zutrittskontrolle

Der physische Betrieb der Server erfolgt in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein, Deutschland. Zutrittsschutz, Videoüberwachung, Brandschutz und unterbrechungsfreie Stromversorgung werden dort durch den Rechenzentrumsbetreiber gewährleistet; die entsprechenden Nachweise sind über den Betreiber verfügbar. Eigene Räumlichkeiten mit Zugriff auf personenbezogene Daten des Verantwortlichen unterhalten wir nicht.

Zugangskontrolle

Administrativer Zugang zu den Servern erfolgt ausschließlich über SSH mit Public-Key-Authentifizierung; die Anmeldung mit Passwort ist deaktiviert.
Administrative Zugänge sind personenbezogen vergeben und auf den für den Betrieb erforderlichen Personenkreis beschränkt.
Passwörter von Benutzerkonten werden ausschließlich als Hashwert mit einem für Passwörter geeigneten, rechenintensiven Verfahren gespeichert. Zugangsdaten und Schlüsselmaterial für Dienste werden verschlüsselt abgelegt und nicht im Quellcode hinterlegt.
Die Systeme sind durch eine Firewall abgesichert; nach außen sind nur die für den Betrieb erforderlichen Dienste erreichbar. Datenbank- und Cache-Dienste sind von außen nicht zugänglich.

Zugriffskontrolle

Innerhalb der Anwendung besteht ein rollenbasiertes Berechtigungskonzept. Der Zugriff auf einen Vorgang setzt die Kenntnis des zufällig erzeugten Zugriffstokens voraus.
Es werden nur die für den Zweck erforderlichen Daten erhoben. Aktivitätsprotokolle enthalten weder Inhalte noch Zugriffstoken noch Schlüsselmaterial.
Ein Zugriff auf Klartextinhalte ist auch mit vollständigen administrativen Rechten technisch ausgeschlossen, da der Schlüssel serverseitig nicht vorliegt.

Weitergabekontrolle

Sämtliche Übertragungen zwischen Endgerät und Server erfolgen ausschließlich über TLS-verschlüsselte Verbindungen. Unverschlüsselte Aufrufe werden auf HTTPS umgeleitet.
Der zur Entschlüsselung erforderliche Schlüssel wird nie über die Leitung an den Server übertragen, sondern verbleibt im URL-Fragment auf dem Endgerät.
Der Dienst setzt sicherheitsrelevante HTTP-Header ein, unter anderem eine Content-Security-Policy sowie HTTP Strict Transport Security, um die Ausführung fremden Codes und ein Herabstufen der Transportverschlüsselung zu erschweren.

Eingabekontrolle

Für Vorgänge, die einem Benutzerkonto zugeordnet sind, wird ein Aktivitätsprotokoll geführt, das die Art des Ereignisses und dessen Zeitpunkt festhält. Es enthält weder Inhalte noch Zugriffstoken. Für anonym erstellte Vorgänge findet aus Gründen der Datenminimierung keine Protokollierung auf Vorgangsebene statt.

Verfügbarkeitskontrolle und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Inhalte liegen ausschließlich als Chiffrat vor und sind daher auch in etwaigen Kopien der Datenbank nicht lesbar. Ein regelmäßiges Sicherungsverfahren für die Produktivdatenbank sagen wir im Rahmen dieses Vertrages nicht zu.
Betriebssystem und eingesetzte Komponenten werden regelmäßig aktualisiert; sicherheitsrelevante Aktualisierungen werden zeitnah eingespielt.
Der Betrieb wird überwacht; Störungen und Fehlerzustände werden automatisiert gemeldet. Der aktuelle Betriebszustand ist über eine öffentliche Statusseite einsehbar.
Zum Schutz vor automatisierten Angriffen und Überlastung sind Zugriffsbegrenzungen implementiert. Die dafür verwendeten Zählschlüssel werden aus der IP-Adresse mit einem geheimen Schlüssel abgeleitet und nur für die Dauer des jeweiligen Zeitfensters im Arbeitsspeicher gehalten.

Trennungskontrolle

Die Anwendung ist mandantenfähig; Daten unterschiedlicher Projekte und Organisationen werden logisch getrennt in eigenen Datenbankschemata verarbeitet. Produktiv-, Staging- und Entwicklungsumgebungen sind voneinander getrennt; in Entwicklungsumgebungen werden keine produktiven personenbezogenen Daten verwendet.

Sichere Entwicklung

Änderungen am Quellcode durchlaufen ein Review und werden über eine automatisierte Pipeline ausgeliefert.
Es kommen statische Codeanalyse und automatisierte Tests zum Einsatz, die vor der Auslieferung fehlerfrei durchlaufen werden müssen.
Eingesetzte Fremdbibliotheken sind in ihren Versionen festgeschrieben und werden ausschließlich über die Auslieferungspipeline geändert. Eine automatisierte Prüfung dieser Bibliotheken auf bekannte Schwachstellen ist derzeit nicht Bestandteil der Pipeline.
Der für die Verschlüsselung maßgebliche Teil des Dienstes ist quelloffen und kann unabhängig überprüft werden. Zusätzlich stellen wir unter „/.well-known/security.txt" einen Meldeweg für Sicherheitshinweise bereit.

Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

Die Wirksamkeit der Maßnahmen wird anlassbezogen sowie bei wesentlichen Änderungen an Architektur, Systemen oder Unterauftragsverarbeitern überprüft und dieses Dokument entsprechend fortgeschrieben.

Grenzen der Maßnahmen

Wir halten es für Teil eines belastbaren Sicherheitsversprechens, auch offenzulegen, was wir nicht leisten:

Wir verfügen derzeit über keine Zertifizierung nach ISO/IEC 27001, keine Zertifizierung nach Art. 42 DSGVO und sind keinen genehmigten Verhaltensregeln nach Art. 40 DSGVO unterworfen.
Es wurde bislang kein externes Sicherheitsaudit, kein Penetrationstest und kein unabhängiges Kryptografie-Audit durchgeführt.
Die Verschlüsselung findet im Browser statt und beruht auf dem von uns ausgelieferten Programmcode. Wer unserer Auslieferung nicht vertraut, muss den quelloffenen Code selbst prüfen; eine Kompromittierung der Auslieferung könnte die Ende-zu-Ende-Verschlüsselung aushebeln.
Auch wenn Inhalte für uns nicht lesbar sind, fallen Metadaten an, insbesondere Zeitpunkte, Ablauffristen und die Tatsache, dass ein Vorgang existiert. Diese Metadaten sind uns bekannt.

Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der gesondert geführten Liste ausgewiesen und gelten als genehmigt. Die dort daneben aufgeführten, von uns selbst betriebenen Systeme sind keine Unterauftragsverarbeiter; die Regelungen dieses Abschnitts gelten für sie nicht.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das den Anforderungen dieses Vertrages entspricht, und bleiben gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Pflichten durch den Unterauftragsverarbeiter verantwortlich.

Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters informieren wir den Verantwortlichen vorab. Der Verantwortliche kann einer solchen Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht zu.

Weder die eingesetzten Unterauftragsverarbeiter noch die von uns selbst betriebenen Systeme erhalten Zugriff auf Klartextinhalte. Der Hosting-Dienstleister verarbeitet ausschließlich Chiffrat; die übrigen Dienstleister verarbeiten keine übermittelten Inhalte, sondern ausschließlich die zu ihrem jeweiligen Zweck erforderlichen Daten.

Die jeweils aktuelle Liste der Unterauftragsverarbeiter mit Zweck, Region und Datenschutzhinweisen finden Sie hier: Liste der Unterauftragsverarbeiter

Unterstützung bei Betroffenenrechten

Wir unterstützen den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich an den Verantwortlichen weiter, soweit sich der Antrag auf Verarbeitungen im Auftrag bezieht. Eine eigenständige Beantwortung nehmen wir in diesem Fall nicht vor.

Anträge auf Auskunft, Berichtigung oder Herausgabe von Inhalten können wir nicht erfüllen, da uns die Inhalte ausschließlich als Chiffrat vorliegen. Eine Löschung ist dagegen jederzeit möglich und wirkt sich auch auf das Chiffrat aus, das damit endgültig unbrauchbar wird.

Wir unterstützen den Verantwortlichen ferner bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, und stellen hierfür die uns vorliegenden Informationen zur Verfügung.

Die Unterstützungsleistungen erbringen wir im üblichen Umfang unentgeltlich. Für einen darüber hinausgehenden Aufwand, der nicht auf einem uns zurechenbaren Umstand beruht, können wir eine angemessene Vergütung verlangen; hierauf weisen wir vorab hin.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir informieren den Verantwortlichen unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Rahmen der Auftragsverarbeitung eingetreten ist (Art. 33 Abs. 2 DSGVO). Die Information erfolgt in Textform an die uns bekannte Kontaktadresse des Verantwortlichen.

Die Meldung enthält, soweit uns bekannt, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sofern nicht alle Angaben sofort verfügbar sind, liefern wir sie unverzüglich nach.

Wir ergreifen unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmen weitergehende Maßnahmen mit dem Verantwortlichen ab.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Wir nehmen solche Meldungen nicht eigenständig für den Verantwortlichen vor, unterstützen ihn hierbei jedoch.

Sicherheitsvorfälle und Schwachstellen können jederzeit an hello@erseni.com sowie über den unter „/.well-known/security.txt" veröffentlichten Meldeweg gemeldet werden.

Löschung und Rückgabe nach Vertragsende (Löschkonzept)

Der Dienst ist so gebaut, dass Löschung der Regelfall und Aufbewahrung die Ausnahme ist. Nachfolgend beschreiben wir, welche Daten wann und auf welche Weise gelöscht werden.

Löschung beim ersten Abruf

Beim Abruf eines Inhalts wird der Datensatz in einem einzigen atomaren Datenbankvorgang gelesen und zugleich physisch aus der Tabelle entfernt. Der ausgelieferte Inhalt existiert danach nur noch flüchtig im Arbeitsspeicher für die Dauer der Auslieferung. Ein zweiter Abruf desselben Links ist damit ausgeschlossen; ein Wiederherstellen des Chiffrats ist uns nicht möglich.

Maximale Aufbewahrungsdauer nicht abgerufener Inhalte

Wird ein Inhalt nicht abgerufen, wird er spätestens mit Ablauf der vom Verantwortlichen gewählten Gültigkeitsdauer gelöscht. Die wählbare Höchstdauer richtet sich nach dem genutzten Tarif:

Kostenfreie Nutzung und Nutzung ohne Benutzerkonto: maximal 7 Tage
Tarif Pro: maximal 30 Tage
Tarif Business: maximal 30 Tage

Innerhalb dieser Höchstgrenzen kann der Verantwortliche eine kürzere Gültigkeitsdauer wählen; die kürzeste wählbare Dauer beträgt eine Minute. Eine Verlängerung über die genannten Höchstgrenzen hinaus ist technisch nicht möglich.

Automatisierte Löschung abgelaufener Daten

Ein automatisierter Löschlauf entfernt abgelaufene Datensätze täglich in einem nächtlichen Zeitfenster. Die Löschung erfolgt als endgültiges Entfernen aus der Datenbank in Stapeln; ein Kennzeichnen als gelöscht oder ein Papierkorb existiert nicht. Erfasst werden abgelaufene Inhalte, abgelaufene Anforderungen, abgelaufene Statusmetadaten sowie technische Hilfsdaten zur Missbrauchsabwehr.

Statusmetadaten und Nachlauffrist

Nach der Löschung eines Inhalts verbleibt für eine Nachlauffrist von 24 Stunden ab Ablauf ein reiner Statusdatensatz, damit der Verbleib eines Vorgangs nachvollziehbar bleibt und ein bereits abgerufener Link nicht fälschlich als unbekannt erscheint. Dieser Datensatz enthält ausschließlich die Art des Vorgangs, das Zugriffstoken, den Ablaufzeitpunkt sowie gegebenenfalls die Zeitpunkte der Beantwortung und des Abrufs. Er enthält kein Chiffrat und kein Schlüsselmaterial. Nach Ablauf der Nachlauffrist wird auch dieser Datensatz gelöscht; die Zuordnung eines Vorgangs zu einem Benutzerkonto wird dabei automatisch mitgelöscht.

Kontodaten und Aktivitätsprotokoll

Einträge des Aktivitätsprotokolls werden automatisiert gelöscht, sobald sie älter als 90 Tage sind; ein täglicher Löschlauf entfernt sie endgültig aus der Datenbank. Kontodaten werden für die Dauer des Nutzungsverhältnisses gespeichert und nach dessen Beendigung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen; in diesem Fall wird die Verarbeitung auf die Erfüllung dieser Pflichten beschränkt.

Sicherungen

Datensicherungen unterliegen einem eigenen Aufbewahrungszyklus und werden nach dessen Ablauf überschrieben. Eine gezielte Einzellöschung innerhalb bestehender Sicherungen erfolgt nicht; da Inhalte auch in Sicherungen ausschließlich als Chiffrat vorliegen und der zugehörige Schlüssel uns nie bekannt war, sind sie dort nicht lesbar.

Rückgabe und Löschung nach Vertragsende

Nach Beendigung des Vertrages löschen wir alle im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Eine Rückgabe der Inhalte ist gegenstandslos, da diese entweder bereits abgerufen und damit gelöscht sind oder ausschließlich als für uns unlesbares Chiffrat vorliegen; der Verantwortliche kann die Inhalte nur über den ihm bekannten Schlüssel nutzbar machen.

Auf Anforderung bestätigen wir dem Verantwortlichen die Löschung in Textform.

Nachweise und Kontrollrechte

Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglichen Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis erfolgt vorrangig durch Vorlage dieser Dokumentation, der Beschreibung der technisch-organisatorischen Maßnahmen, der Liste der Unterauftragsverarbeiter sowie der von unseren Dienstleistern bereitgestellten Nachweise.

Reichen diese Nachweise im Einzelfall nicht aus, ermöglichen wir eine Überprüfung vor Ort nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Der beauftragte Prüfer darf nicht in Wettbewerb zu uns stehen.

Über die vertraglichen Nachweise hinaus kann der für die Verschlüsselung maßgebliche Programmcode als quelloffener Code unabhängig eingesehen und überprüft werden. Wir betrachten dies als wesentlichen Bestandteil der Nachweisführung.

Wir weisen ausdrücklich darauf hin, dass wir derzeit keine Zertifizierung und keinen externen Auditbericht vorlegen können, die eine Überprüfung durch den Verantwortlichen ersetzen würden.

Haftung und Schlussbestimmungen

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie ergänzend nach den Haftungsregelungen unserer Allgemeinen Geschäftsbedingungen. Eine Beschränkung der Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO ist damit nicht verbunden.

Der Verantwortliche ist für die Zulässigkeit der Verarbeitung, für die Rechtmäßigkeit der von ihm übermittelten Inhalte sowie für die sichere Weitergabe der Zugriffslinks und etwaiger Passwörter an die vorgesehenen Empfänger allein verantwortlich. Wird ein Zugriffslink gegenüber Unbefugten offengelegt, liegt dies außerhalb unseres Verantwortungsbereichs.

Dieser AVV gilt für die Dauer des Nutzungsverhältnisses. Er endet automatisch mit dessen Beendigung. Die Regelungen zur Vertraulichkeit und zur Löschung gelten darüber hinaus fort.

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

Im Übrigen gelten die Regelungen zu anwendbarem Recht und Gerichtsstand aus unseren Allgemeinen Geschäftsbedingungen, soweit zwingende datenschutzrechtliche Vorschriften dem nicht entgegenstehen.